Beschluss des Verwaltungsrats des Gemeinsamen Unternehmens für intelligente Netze und Dienste Nr. 18/2023 vom 11. Oktober 2023 zur Festlegung interner Vorschriften zur Beschränkung bestimmter Rechte betroffener Personen bei der Verarbeitung personenbezogener Daten im Rahmen der Tätigkeit des Gemeinsamen Unternehmens für intelligente Netze und Dienste [2023/2511]

1 Mit diesem Beschluss werden Vorschriften in Bezug auf die Bedingungen festgelegt, unter denen das GU für intelligente Netze und Dienste im Rahmen seiner unter Absatz 2 aufgeführten Verfahren gemäß Artikel 25 der Verordnung (EU) 2018/1725 befugt ist, die Anwendung der in den Artikeln 14 bis 22, 35 und 36 sowie in Artikel 4 der Verordnung (EU) 2018/1725 verankerten Rechte zu beschränken.

2 Bei den für diese Verfahren relevanten Datenkategorien handelt es sich unter anderem um Identifikationsdaten, Kontaktdaten, berufsbezogene Daten, Verwaltungsdaten, Daten aus bestimmten Quellen, elektronische Kommunikations- und Verkehrsdaten, fallbezogene Daten wie Begründungen, verhaltensbezogene Daten, Beurteilungen, Leistungs- und Verhaltensdaten sowie Daten, die sich auf den Gegenstand des Verfahrens oder der Tätigkeit beziehen oder im Zusammenhang damit vorgebracht werden.

3 Bei der Erfüllung seiner Pflichten aus der Verordnung (EU) 2018/1725 prüft das GU für intelligente Netze und Dienste, ob eine der in dieser Verordnung vorgesehenen Ausnahmen gilt.

Der für die Verarbeitung Verantwortliche ist das GU für intelligente Netze und Dienste, vertreten durch seinen Exekutivdirektor.

1 Das GU für intelligente Netze und Dienste kann die Anwendung der Artikel 14 bis 22, 35 und 36 sowie des Artikels 4 der Verordnung (EU) 2018/1725 beschränken, sofern dessen Bestimmungen den in den Artikeln 14 bis 20 vorgesehenen Rechten und Pflichten entsprechen: a) gemäß Artikel 25 Absatz 1 Buchstaben b, c, f, g und h der Verordnung (EU) 2018/1725, wenn das GU für intelligente Netze und Dienste Verwaltungsuntersuchungen, Vordisziplinar-, Disziplinar- und Dienstenthebungsverfahren gemäß Artikel 86 und Anhang IX des Statuts und durchführt und Verdachtsfälle an das OLAF meldet; b) gemäß Artikel 25 Absatz 1 Buchstabe h der Verordnung (EU) 2018/1725, um sicherzustellen, dass Bedienstete des GU für intelligente Netze und Dienste Sachverhalte vertraulich melden können, von denen sie annehmen, dass es sich um schwerwiegende Unregelmäßigkeiten handelt, so wie dies im Beschluss Nr. 09/2023 des Verwaltungsrats des GU für intelligente Netze und Dienste über interne Vorschriften für die Meldung von Missständen (Whistleblowing) festgelegt ist; c) gemäß Artikel 25 Absatz 1 Buchstabe h der Verordnung (EU) 2018/1725, um sicherzustellen, dass Bedienstete des GU für intelligente Netze und Dienste im Rahmen eines Belästigungsverfahrens Vertrauenspersonen Sachverhalte melden können, so wie dies im Beschluss Nr. 13/2023 des Verwaltungsrats des GU für intelligente Netze und Dienste festgelegt ist; d) gemäß Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725, um interne und externe Rechnungsprüfungen im Zusammenhang mit Tätigkeiten oder Abteilungen des GU für intelligente Netze und Dienste durchzuführen; e) gemäß Artikel 25 Absatz 1 Buchstaben c, d, g und h der Verordnung (EU) 2018/1725, um anderen Organen, Einrichtungen und sonstigen Stellen der Europäischen Union Unterstützung zu leisten oder Unterstützung von ihnen zu erhalten oder mit ihnen im Rahmen von Tätigkeiten gemäß den Buchstaben a bis d dieses Absatzes zusammenzuarbeiten sowie gemäß Dienstgütevereinbarungen, Absichtserklärungen und Kooperationsvereinbarungen; f) gemäß Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725, um nationalen Behörden von Drittländern und internationalen Organisationen Unterstützung zu leisten oder Unterstützung von ihnen zu erhalten oder mit ihnen zusammenzuarbeiten, auf deren Ersuchen oder aus eigener Initiative; g) gemäß Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725, um Behörden von EU-Mitgliedstaaten Unterstützung zu leisten oder Unterstützung von ihnen zu erhalten und mit ihnen zusammenzuarbeiten, auf deren Ersuchen oder aus eigener Initiative; h) gemäß Artikel 25 Absatz 1 Buchstabe e der Verordnung (EU) 2018/1725, um personenbezogene Daten zu verarbeiten, die in Dokumenten enthalten sind, die von den Parteien oder Streithelfern erlangt wurden, die an einem Verfahren vor dem Gerichtshof der Europäischen Union beteiligt sind; i) gemäß Artikel 25 Absatz 1 Buchstaben c und h der Verordnung (EU) 2018/1725, um personenbezogene Daten während der vom DSB durchgeführten Untersuchungen gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 zu verarbeiten; j) gemäß Artikel 25 Absatz 1 Buchstaben c, d, g und h der Verordnung (EU) 2018/1725, um personenbezogene Daten bei intern oder mit externer Beteiligung (z. B. CERT-EU) durchgeführten IT-Sicherheitsüberprüfungen zu verarbeiten; k) gemäß Artikel 25 Absatz 1 Buchstaben c, g und h der Verordnung (EU) 2018/1725, um personenbezogene Daten im Rahmen der Finanzhilfeverwaltung oder des Vergabeverfahrens nach Ablauf der Frist für die Einreichung der Aufforderungen zur Einreichung von Vorschlägen oder für die Einreichung von Angeboten zu verarbeiten.

2 Im Rahmen der besonderen Anwendung zu den in Absatz 1 genannten Zwecken kann das GU für intelligente Netze und Dienste unter folgenden Umständen Beschränkungen anwenden: a) in Bezug auf personenbezogene Daten, die mit Dienststellen der Kommission oder anderen Organen, Einrichtungen und sonstigen Stellen der Union ausgetauscht werden: i. soweit die Dienststelle der Kommission, das Organ, die Einrichtung oder die sonstige Stelle der Union aufgrund anderer in Artikel 25 der Verordnung (EU) 2018/1725 vorgesehener Rechtsakte oder gemäß Kapitel IX der genannten Verordnung oder gemäß den Gründungsakten der betreffenden Organe, Einrichtungen und sonstigen Stellen der Union befugt ist, die Ausübung der aufgeführten Rechte zu beschränken; ii. soweit der Zweck der von der Dienststelle der Kommission, dem Organ, der Einrichtung oder der sonstigen Stelle der Union vorgenommenen Beschränkung gefährdet wäre, falls das GU für intelligente Netze und Dienste hinsichtlich der betreffenden personenbezogenen Daten keine entsprechende Beschränkung vornähme; b) in Bezug auf personenbezogene Daten, die mit zuständigen Behörden der Mitgliedstaaten ausgetauscht werden: i. soweit die zuständigen Behörden der Mitgliedstaaten aufgrund der in Artikel 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates genannten Rechtsakte oder nach nationalen Maßnahmen zur Umsetzung von Artikel 13 Absatz 3, Artikel 15 Absatz 3 oder Artikel 16 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates befugt sind, die Ausübung der aufgeführten Rechte zu beschränken; ii. soweit der Zweck der von der zuständigen Behörde vorgenommenen Beschränkung gefährdet wäre, falls das GU für intelligente Netze und Dienste hinsichtlich der betreffenden personenbezogenen Daten keine entsprechende Beschränkung vornähme; c) in Bezug auf personenbezogene Daten, die mit Drittländern oder internationalen Organisationen ausgetauscht werden: soweit es klare Beweise dafür gibt, dass die Ausübung dieser Rechte und Pflichten die bei der Wahrnehmung seiner Aufgaben erfolgende Zusammenarbeit des GU für intelligente Netze und Dienste mit Drittländern oder internationalen Organisationen wahrscheinlich beeinträchtigen würde. Bevor Beschränkungen unter den in Buchstaben a und b des ersten Unterabsatzes genannten Voraussetzungen vorgenommen werden, muss das GU für intelligente Netze und Dienste die zuständigen Dienststellen der Kommission, die Organe, Einrichtungen und sonstigen Stellen der Union oder die zuständigen Behörden der Mitgliedstaaten konsultieren, es sei denn, für das GU für intelligente Netze und Dienste ist klar, dass die Vornahme der Beschränkung in einem der in den beiden Buchstaben genannten Rechtsakte vorgesehen ist.

3 Wenn das GU für intelligente Netze und Dienste die Anwendung der in den Absätzen 1 und 2 genannten Rechte ganz oder zum Teil beschränkt, ist nach den Artikeln 5 und 6 dieses Beschlusses zu verfahren.

4 Verlangen von der Datenverarbeitung betroffene Personen gemäß Artikel 17 der Verordnung (EU) 2018/1725 Auskunft über ihre personenbezogenen Daten, die im Zusammenhang mit einem oder mehreren speziellen Fällen verarbeitet wurden, oder über einen speziellen Datenverarbeitungsvorgang, begrenzt das GU für intelligente Netze und Dienste seine Antragsprüfung auf diese personenbezogenen Daten.

1 Das GU für intelligente Netze und Dienste implementiert Schutzvorkehrungen, die verhindern, dass personenbezogene Daten, die Beschränkungen unterliegen oder unterliegen könnten, Missbrauch, unrechtmäßigem Zugriff oder unrechtmäßiger Übermittlung ausgesetzt sind. Diese Schutzvorkehrungen umfassen technische und organisatorische Maßnahmen und werden erforderlichenfalls in den internen Beschlüssen, Verfahren und Durchführungsbestimmungen des GU für intelligente Netze und Dienste im Einzelnen angegeben. Die Schutzvorkehrungen beinhalten Folgendes: a) Rollen, Zuständigkeiten und Verfahrensschritte werden klar definiert. b) Dokumente in Papierform werden in gesicherten Schränken aufbewahrt und ausschließlich befugtem Personal zugänglich gemacht. c) Alle elektronischen Daten werden in einer sicheren IT-Anwendung gemäß den Sicherheitsstandards des GU für intelligente Netze und Dienste sowie in speziellen elektronischen Ordnern gespeichert, die ausschließlich befugtem Personal zugänglich sind. Angemessene Zugangsrechte werden individuell erteilt. d) Alle Personen, die Zugang zu den Daten haben, sind zur Geheimhaltung verpflichtet. e) Es erfolgt eine ordnungsgemäße Überwachung der Beschränkungen und eine regelmäßige Überprüfung ihrer Anwendung.

2 Die in Absatz 1 genannten Schutzvorkehrungen unterliegen nach Artikel 5 Absatz 3 der regelmäßigen Überprüfung.

3 Die personenbezogenen Daten werden gemäß den geltenden Datenspeicherungsregeln des GU für intelligente Netze und Dienste gespeichert, die in den gemäß Artikel 31 der Verordnung (EU) 2018/1725 geführten Datenschutzaufzeichnungen zu definieren sind. Die Aufbewahrungsfrist darf nicht länger sein als es für die Zwecke, zu denen die Daten verarbeitet werden, notwendig und verhältnismäßig ist.

1 Jede auf Artikel 3 dieses Beschlusses beruhende Beschränkung muss notwendig und im Hinblick auf die Risiken für die Rechte und Freiheiten der betroffenen Personen verhältnismäßig sein und den Wesensgehalt der Grundrechte und Grundfreiheiten in einer demokratischen Gesellschaft achten.

2 Wird eine Beschränkung in Betracht gezogen, so ist ihre Notwendigkeit und Verhältnismäßigkeit auf Grundlage der vorliegenden Vorschriften zu prüfen. Diese Prüfung erfolgt ebenso im Rahmen der regelmäßigen Überprüfung, im Anschluss an die Prüfung, ob die sachlichen und rechtlichen Gründe für eine Beschränkung weiterhin gegeben sind. Für die Zwecke der Rechenschaftspflicht ist dies in jedem Einzelfall in einem internen Bewertungsvermerk zu dokumentieren. Das GU für intelligente Netze und Dienste erstellt regelmäßig Berichte über die Anwendung des Artikels 25 der Verordnung (EU) 2018/1725.

3 Beschränkungen gelten nur vorübergehend. Sie gelten solange, wie die Gründe, die ihre Anwendung rechtfertigen, fortbestehen. Dies gilt insbesondere, wenn davon ausgegangen wird, dass die Ausübung des beschränkten Rechts die Wirkung der angewendeten Beschränkung nicht mehr zunichtemacht oder die Rechte oder Freiheiten anderer betroffener Personen nicht mehr beeinträchtigt. Das GU für intelligente Netze und Dienste überprüft die vorgenommene Beschränkung nach ihrer Vornahme alle sechs Monate sowie bei Abschluss der jeweiligen Ermittlungen, Verfahren oder Untersuchungen. Danach überwacht der Verantwortliche alle sechs Monate, ob die Aufrechterhaltung der Beschränkung weiterhin notwendig ist.

4 Beschränkt das GU für intelligente Netze und Dienste Rechte ganz oder zum Teil nach Artikel 3 dieses Beschlusses, sind die Gründe für die Beschränkung sowie die Rechtsgrundlage gemäß Artikel 3 dieses Beschlusses in einem Vermerk festzuhalten, einschließlich der Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung. Der Vermerk sowie gegebenenfalls die Unterlagen, die die tatsächlichen und rechtlichen Grundlagen enthalten, werden in einem Register verzeichnet. Sie werden dem EDSB auf Anfrage zur Verfügung gestellt.

1 In die auf der Website und/oder im Intranet des GU für intelligente Netze und Dienste veröffentlichten Datenschutzhinweise, Datenschutzerklärungen oder Verzeichnisse im Sinne des Artikels 31 der Verordnung (EU) 2018/1725, in denen betroffene Personen über ihre Rechte im Rahmen eines gegebenen Verfahrens informiert werden, nimmt das GU für intelligente Netze und Dienste Informationen über die mögliche Beschränkung dieser Rechte auf. Diese Informationen enthalten Angaben dazu, welche Rechte beschränkt werden können, die Gründe für solche Beschränkungen sowie ihre mögliche Dauer. Unbeschadet der Bestimmungen des Artikels 5 Absatz 4 informiert das GU für intelligente Netze und Dienste, sofern dies verhältnismäßig ist, auch alle betroffenen Personen, die als von den speziellen Verarbeitungsvorgängen betroffene Personen gelten, unverzüglich einzeln schriftlich über ihre Rechte bezüglich gegenwärtiger oder künftiger Beschränkungen.

2 Werden in Artikel 3 dieses Beschlusses genannte Rechte vom GU für intelligente Netze und Dienste ganz oder zum Teil beschränkt, unterrichtet es die jeweilige betroffene Person über die vorgenommene Beschränkung und die Hauptgründe dafür sowie über die Möglichkeit, Beschwerde beim EDSB oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen. Die Unterrichtung nach Absatz 2 kann zurückgestellt, unterlassen oder abgelehnt werden, wenn sie die Wirkung der gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 vorgenommenen Beschränkung zunichtemachen würde.

1 Das GU für intelligente Netze und Dienste unterrichtet seinen eigenen Datenschutzbeauftragten (im Folgenden „DSB“) unverzüglich, vor Beginn und während des Zeitraums, in dem der Verantwortliche gemäß diesem Beschluss die Rechte betroffener Personen beschränkt oder eine solche Beschränkung ausweitet. Der Verantwortliche gewährt dem DSB Zugang zu den Aufzeichnungen, die die Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung enthalten, und zu allen Dokumenten, die den zugrunde liegenden sachlichen oder rechtlichen Zusammenhang betreffen.

2 Der DSB kann den Verantwortlichen schriftlich zur Überprüfung der vorgenommenen Beschränkungen auffordern. Der Verantwortliche informiert den DSB schriftlich über das Ergebnis der erbetenen Überprüfung.

3 Der DSB wird über das gesamte Verfahren hindurch einbezogen. Der Verantwortliche unterrichtet den DSB über die Aufhebung der Beschränkung.

4 Das GU für intelligente Netze und Dienste dokumentiert schriftlich die Mitwirkung des DSB an der Anwendung von Beschränkungen, einschließlich der Informationen, die ihm mitgeteilt werden.

1 Ist das GU für intelligente Netze und Dienste gemäß Artikel 35 Absatz 1 der Verordnung (EU) 2018/1725 zur Benachrichtigung über eine Datenschutzverletzung verpflichtet, kann es in Ausnahmefällen die Benachrichtigung ganz oder teilweise beschränken. Es muss die Gründe für die Beschränkung sowie die Rechtsgrundlage gemäß obigem Artikel 3 dieses Beschlusses sowie die Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung dokumentieren. Der Vermerk ist dem EDSB zum Zeitpunkt der Meldung der Verletzung des Schutzes personenbezogener Daten mitzuteilen.

2 Sind die Gründe für die Beschränkung nicht mehr gegeben, unterrichtet das GU für intelligente Netze und Dienste die betroffene Person über die Verletzung des Schutzes personenbezogener Daten, wobei die wesentlichen Gründe für die Beschränkung anzugeben und auf das Recht der betroffenen Person, beim EDSB Beschwerde einzulegen, hinzuweisen ist.

1 In Ausnahmefällen kann das GU für intelligente Netze und Dienste das Recht auf Vertraulichkeit der elektronischen Kommunikation gemäß Artikel 36 der Verordnung (EU) 2018/1725 beschränken. Solche Beschränkungen erfolgen im Einklang mit der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates .

2 Beschränkt das GU für intelligente Netze und Dienste das Recht auf Vertraulichkeit der elektronischen Kommunikation, muss es die betroffene Person in der Antwort auf deren Anfrage über die wesentlichen Gründe für diese Beschränkung sowie über das Recht der betroffenen Person, beim EDSB Beschwerde einzulegen, unterrichten.

3 Solange die Unterrichtung über die Gründe für die Beschränkung und das Recht auf Einlegung der Beschwerde beim EDSB die Wirkung der Beschränkung zunichtemachen würde, kann sie vom GU für intelligente Netze und Dienste zurückgestellt, unterlassen oder abgelehnt werden. Die Beurteilung, inwieweit dies gerechtfertigt ist, erfolgt auf Einzelfallbasis.

Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.